Bu metin, 6698 sayılı KVKK madde 10 uyarınca işleme amaçları, yöntemleri,
hukuki dayanaklar, alıcılar ve haklarınız hakkında bilgilendirme sağlar.
Şirket çalışma alanı içeriğinin veri sorumlusu ilgili şirkettir; sağlayıcının
kendi hesap ve güvenlik süreçlerindeki rolü aşağıda açıklanır.
This notice explains processing purposes, methods, legal bases,
recipients and your rights under KVKK Article 10. Your company is the controller
of its workspace content; the provider's role for its own account and security
processes is explained below.
1. Kapsam ve kapalı erişim / Scope and closed access
Only Project işyerleri için davetli bir B2B uygulamasıdır. Uygulamayı indirmek şirket verilerine erişim sağlamaz. E-posta daveti veya yönetici tarafından oluşturulan hesap önceden yetkilendirilmiştir; proje kodu/QR ile başvurular her zaman yetkili yönetici onayı gerektirir. İlk geçici şifre girişinde kendi şifrenizi belirleyip e-posta OTP doğrulamasını tamamlamanız gerekir. Yeni şirketler yalnız sağlayıcının talep üzerine verdiği kurulum davetiyle açılır.
Only Project is an invite-only workplace B2B app. Downloading it does not grant access to company data. Email invitations and admin-created accounts are pre-authorized; project code/QR requests always require an authorized manager's approval. First use of a temporary password requires setting your own password and completing email OTP verification. New companies require a setup invitation issued by the provider on request.
2. Veri sorumlusu ve veri işleyen / Controller and processor
Mustafa Baykal, bireysel geliştirici ve hizmet sağlayıcısı olarak hesap, kimlik doğrulama, platform güvenliği ve doğrudan destek süreçleri için veri sorumlusudur. İletişim: mustafabaykal91@gmail.com. Müşteri şirket, kendi çalışma alanındaki çalışan ve iş içeriğinin amaçlarını ve kullanımını belirleyen veri sorumlusudur. Only Project bu içerik için şirket adına ve talimatları doğrultusunda veri işleyen olarak hareket eder (KVKK madde 3; uygulanabildiği ölçüde GDPR madde 4 ve 28). Şirketinizin aydınlatma metni ve saklama politikası da geçerlidir.
Mustafa Baykal, an individual developer and service provider, is the controller for account administration, authentication, platform security and direct support. Contact: mustafabaykal91@gmail.com. Each customer company is the controller determining the purposes and use of employee and work content in its workspace. Only Project acts as processor for that content on the company's behalf and instructions (KVKK Article 3; GDPR Articles 4 and 28 where applicable). Your company's privacy notice and retention policy also apply.
3. Veriler ve toplama yöntemleri / Data and collection methods
Hesap verileri: ad, e-posta, şifre hash'i, saat dilimi ve dil. Organizasyon verileri: şirket/ekip/proje üyelikleri, roller, yetkiler, davet ve katılım talepleri. Kullanıcı içeriği: görevler, incident kayıtları, geçiş kayıtları, sohbet mesajları, yorumlar, yüklenen görsel ve dosyalar (işaretlenmiş ekran görüntüleri dahil) ve süre kayıtları. Cihaz verileri: push token, platform ve uygulama sürümü. Güvenlik verileri: oturumlar, audit log ve hash olarak saklanan IP türevi hız sınırı sayaçları. Veriler kullanıcı girişleri, yönetici davetleri ve işlemleri, seçerek yüklediğiniz dosyalar ve hizmetin teknik işleyişi aracılığıyla elektronik ortamda toplanır.
Account data: name, email, password hash, timezone and language. Organization data: company/team/project memberships, roles, permissions, invitations and join requests. User content: tasks, incidents, deployment records, chat messages, comments, uploaded images and files (including annotated screenshots) and time logs. Device data: push token, platform and app version. Security data: sessions, audit log and hashed IP-derived rate-limit counters. Data is collected electronically through user input, administrator invitations and actions, files you choose to upload and technical operation of the service.
4. Amaçlar ve hukuki dayanaklar / Purposes and legal bases
Hesap açma, davet, kimlik doğrulama, yetki yönetimi ve hizmet sunumu, ilgili kişi sözleşmenin tarafı olduğunda sözleşmenin kurulması/ifası için gerekli işlemeye dayanır (KVKK 5/2-c; GDPR 6/1-b). Güvenlik, kötüye kullanım önleme ve audit işlemleri, temel hak ve özgürlüklerinizle dengelenen meşru menfaate dayanır (KVKK 5/2-f; GDPR 6/1-f). Yetkili makam talepleri ve kanunen zorunlu saklama hukuki yükümlülüğe dayanır (KVKK 5/2-ç; GDPR 6/1-c). Kanunen gerekli olduğu durumlarda belirli işlem için ayrıca açık rıza alınır (KVKK 5/1; GDPR 6/1-a); rıza geri alınabilir ve bu metni okumak rıza sayılmaz. Müşteri şirket çalışma alanındaki işlemenin kendi geçerli hukuki dayanağını belirler; şirket sözleşmesi tek başına her çalışanın verisinin GDPR 6/1-b ile işlenmesini sağlamaz.
Account setup, invitations, authentication, permissions and service delivery rely on contract performance where the data subject is a party to that contract (KVKK 5/2-c; GDPR 6(1)(b)). Security, abuse prevention and auditing rely on legitimate interests balanced against your rights and freedoms (KVKK 5/2-f; GDPR 6(1)(f)). Binding authority requests and statutory retention rely on legal obligations (KVKK 5/2-ç; GDPR 6(1)(c)). Specific explicit consent is obtained separately where legally required (KVKK 5/1; GDPR 6(1)(a)); it can be withdrawn and reading this notice is not consent. The customer company determines its lawful basis for workspace processing; a company contract alone does not make GDPR 6(1)(b) applicable to every employee's data.
5. Alıcılar ve yurt dışı aktarım / Recipients and international transfers
Çalışma alanı içeriği yalnız şirketin tanımladığı yetkiler kapsamında üyelere açılır; yetkili yöneticiler iş kayıtlarına, üyeliklere ve audit kayıtlarına erişebilir. Barındırma Railway AB Batı (Amsterdam, Hollanda) bölgesinde PostgreSQL ve dosya depolaması ile yapılır. E-postalar Resend, iOS bildirimleri APNs, Android bildirimleri FCM üzerinden iletilir. Bu sağlayıcılara işlev için gerekli veriler aktarılır; hukuken zorunlu hallerde yetkili makamlara açıklama yapılabilir. Hollanda'da barındırma Türkiye'den yurt dışı aktarımıdır; e-posta ve push hizmetleri de ABD dahil başka ülkelerde işleme içerebilir. KVKK madde 9 uyarınca düzenli aktarımlar, işleme şartına ek olarak yeterlilik kararı veya kanunen geçerli uygun güvence gerektirir; açık rıza yalnız kanunun izin verdiği ve gerekli olduğu hallerde, arızi aktarım koşulları dahil, kullanılabilir. GDPR uygulanıyorsa madde 44–49 koşulları da değerlendirilir. Aktarım mekanizmasına ilişkin bilgi için iletişim e-postasına başvurabilirsiniz. Sağlayıcı tablosundaki DPA bilgisi sağlayıcının standart koşullarını ifade eder; tüm sağlayıcılarla ayrıca DPA veya SCC imzalandığı iddia edilmez. Standart koşullar tek başına KVKK madde 9 kapsamında uygun aktarım güvencesinin tamamlandığının teyidi değildir.
Workspace content is available to members within company-defined permissions; authorized administrators can access work records, memberships and audit records. Railway hosts PostgreSQL and file storage in EU West (Amsterdam, Netherlands). Email uses Resend; iOS push uses APNs and Android push uses FCM. These providers receive data needed for their function; disclosure to authorities may occur when legally required. Hosting in the Netherlands is a transfer abroad from Türkiye, and email/push services may process data in other countries, including the USA. Under KVKK Article 9, regular transfers require a processing basis plus an adequacy decision or a legally valid appropriate safeguard; explicit consent is used only where legally permitted and required, including the conditions for incidental transfers. GDPR Articles 44–49 are also considered where applicable. Email us for information about the relevant transfer mechanism. The DPA information in the provider table refers to provider standard terms; it does not claim that separate DPAs or SCCs have been signed with every provider. Standard terms alone do not confirm that an appropriate transfer safeguard under KVKK Article 9 has been completed.
| Sağlayıcı / Provider | Amaç / Purpose | Konum / Location | DPA / SCC |
|---|---|---|---|
| Railway | Uygulama sunucusu, PostgreSQL veritabanı ve yüklenen dosyaların depolanması. / Application hosting, PostgreSQL database and storage of uploaded files. | AB Batı, Amsterdam, Hollanda / EU West, Amsterdam, Netherlands | DPA: sağlayıcının standart koşulları / provider standard terms SCC: ayrıca imzalı sözleşme teyit edilmedi / no separately signed agreement confirmed |
| Resend | E-posta adresine doğrulama kodu, davet, hesap etkinleştirme ve hizmet bildirimlerinin iletilmesi. / Delivery of verification codes, invitations, account activation and service emails to the recipient's email address. | ABD ve uluslararası hizmet altyapısı / USA and international service infrastructure | DPA: sağlayıcının standart koşulları / provider standard terms SCC: ayrıca imzalı sözleşme teyit edilmedi / no separately signed agreement confirmed |
| Apple Push Notification service (APNs) | iOS cihazlarına push token ve genel bildirim metni/kayıt kimliği kullanılarak bildirim gönderilmesi. / Push delivery to iOS devices using a push token and generic notification text/record identifier. | Küresel, ABD dahil / Global, including USA | DPA: sağlayıcının standart koşulları / provider standard terms SCC: ayrıca imzalı sözleşme teyit edilmedi / no separately signed agreement confirmed |
| Firebase Cloud Messaging (FCM) | Android cihazlarına push token ve genel bildirim metni/kayıt kimliği kullanılarak bildirim gönderilmesi; analitik amaçlı kullanılmaz. / Push delivery to Android devices using a push token and generic notification text/record identifier; not used for analytics. | Küresel, ABD dahil / Global, including USA | DPA: sağlayıcının standart koşulları / provider standard terms SCC: ayrıca imzalı sözleşme teyit edilmedi / no separately signed agreement confirmed |
6. Saklama, silme ve takma kimlik / Retention, deletion and pseudonymization
Çalışma alanı verileri şirket hesabı aktif olduğu sürece ve şirketin hukuka uygun saklama gereksinimleri kapsamında tutulur. Profil → Hesabı sil ile hesabınızı silebilirsiniz; kimlik alanlarınız anonimleştirilir ve oturumlarınız iptal edilir. Şirket iş kayıtları, sohbetler, yorumlar, dosyalar ve audit geçmişi şirketin saklama politikasına göre takma kimlikle tutulabilir. Takma kimlik kullanımı içeriğin tamamen anonim olduğu anlamına gelmez: metinler ve ekler hâlâ kişisel veri içerebilir. Bu içerik için ilgili şirkete başvurabilir veya bize yazabilirsiniz. Yedekler rotasyonla kaldırılır; hesabın silinmesi bütün şirket kayıtlarını ve yedekleri anında silmez. Tek şirket sahibiyseniz silmeden önce sahipliği devretmeniz veya şirket alanını kapatma işlemini tamamlamanız gerekir.
Workspace data is retained while the company account is active and according to its lawful retention requirements. Use Profile → Delete account to delete your account; identity fields are anonymized and sessions revoked. Company work records, chat, comments, files and audit history may remain pseudonymous under the company's retention policy. Pseudonymization does not make all content anonymous: text and attachments may still contain personal data. Contact your company or email us about that content. Backups rotate out; deleting an account does not instantly erase all company records or backups. A sole company owner must first transfer ownership or complete workspace closure.
| Veri / Data | Süre / Period | Amaç / Reason |
|---|---|---|
| Hesap bilgileri, tercihler ve cihaz bildirim kayıtları / Account details, preferences and device notification records | Hesap aktif olduğu sürece; silme işlemiyle kimlik anonimleştirilir / While the account is active; identity is anonymized on deletion | Kimlik doğrulama ve hizmet sunumu için kullanılır. Profil → Hesabı sil işlemi oturumları iptal eder ve kişiyi Silinmiş kullanıcı olarak gösterir. / Used for authentication and service delivery. Profile → Delete account revokes sessions and replaces the person's identity with Deleted user. |
| Şirket üyelikleri, roller ve çalışma alanı içeriği: görev, incident, geçiş, sohbet, yorum, dosya ve süre kayıtları / Company memberships, roles and workspace content: tasks, incidents, deployments, chat, comments, files and time logs | Şirket hesabı aktifken; sonrasında şirketin hukuka uygun saklama politikasına göre / While the company account is active; thereafter according to the company's lawful retention policy | Şirket iş süreçlerinin sürekliliği için tutulur. Kullanıcı hesabı silinse de şirket kayıtları şirketin belirlediği süre boyunca takma kimlikle korunabilir; artık gerekli olmayan veriler silinir veya anonimleştirilir. / Kept for continuity of company work. After user deletion, company records may remain pseudonymous for the company's retention period; data no longer needed is deleted or anonymized. |
| Güvenlik kayıtları: oturumlar, audit log ve hash olarak saklanan IP türevi hız sınırı sayaçları / Security records: sessions, audit log and hashed IP-derived rate-limit counters | Güvenlik amacı veya uygulanabilir hukuki yükümlülük gerektirdiği süre / For as long as the security purpose or applicable legal obligation requires | Yetkisiz erişimi ve kötüye kullanımı önlemek, erişim değişikliklerini denetlemek ve hukuki talepleri karşılamak için. Hashlenmiş veriler kendiliğinden anonim kabul edilmez. / To prevent unauthorized access and abuse, audit access changes and handle legal requests. Hashing alone does not make data anonymous. |
| Yedekler / Backups | Döngüsel yedek rotasyonu boyunca / Until replacement through the backup rotation cycle | Felaket kurtarma için tutulan yedekler rotasyonla kaldırılır. Hesap silme tüm yedeklerin aynı anda silinmesi anlamına gelmez; geri yükleme halinde silme/anonimleştirme işlemleri yeniden uygulanır. / Recovery backups rotate out. Account deletion does not erase every backup immediately; deletion/anonymization is reapplied if a backup is restored. |
7. Haklar ve başvuru / Rights and requests
KVKK madde 11 kapsamında verilerinizin işlenmesini ve amacını öğrenebilir, bilgi talep edebilir, yurt içi/yurt dışı alıcıları öğrenebilir, düzeltme ve kanuni şartlarla silme/yok etme isteyebilir, bu işlemlerin alıcılara bildirilmesini talep edebilir, yalnız otomatik analizle aleyhinize oluşan sonuca itiraz edebilir ve hukuka aykırı işleme nedeniyle zararınızın giderilmesini isteyebilirsiniz. GDPR uygulanıyorsa erişim, düzeltme, silme, kısıtlama, şartları dahilinde taşınabilirlik, itiraz, rızayı geri alma ve denetim makamına şikâyet haklarınız vardır. mustafabaykal91@gmail.com adresine kayıtlı e-postanızdan 'Only Project — KVKK/GDPR başvurusu' konusuyla talebinizi ve ilgili şirketi yazın; şifre, OTP veya gereksiz kimlik belgesi göndermeyin. Gerekirse ölçülü kimlik doğrulaması yapılır. Şirket içeriği taleplerinde ilgili veri sorumlusu şirketle koordinasyon sağlanır. KVKK başvuruları en geç 30 günde; GDPR başvuruları kural olarak bir ayda, kanuni uzatma gerekiyorsa gerekçesi bildirilerek yanıtlanır. KVKK'ya veya yetkili GDPR denetim makamına şikâyet edebilirsiniz.
KVKK Article 11 lets you learn whether and why data is processed, request information and recipient details, seek correction and erasure/destruction where legally applicable, request notification of those actions to recipients, object to adverse results of solely automated analysis and seek compensation for unlawful processing. Where GDPR applies, rights include access, rectification, erasure, restriction, portability subject to its conditions, objection, withdrawal of consent and supervisory complaints. Email mustafabaykal91@gmail.com from your registered address with subject 'Only Project — KVKK/GDPR request', describing your request and company; do not send passwords, OTPs or unnecessary identity documents. Proportionate identity checks may be needed. Workspace requests are coordinated with the company controller. KVKK requests receive a response within 30 days; GDPR requests normally within one month, with reasons notified if a lawful extension is needed. You may complain to KVKK or the competent GDPR supervisory authority.
8. Güvenlik ve bildirimler / Security and notifications
Şifreler hash olarak tutulur; organizasyon ve rol bazlı erişim sınırları, oturum denetimi, audit kayıtları ve hız sınırları kullanılır. İşaretlenmiş ekran görüntüsü karartmaları yüklenen kopyaya düzleştirilir; yüklemeden önce hassas bilgileri kontrol edin. Push bildirimi genel metin ve kayıt kimliği taşır; ayrıntılar uygulamada yetki kontrolüyle alınır. Bildirim izinlerini cihaz ayarlarından kapatabilirsiniz. Hiçbir sistem mutlak güvenlik garantisi vermez; ihlallerde uygulanabilir mevzuatın gerektirdiği bildirimler yapılır.
Passwords are stored as hashes. Organization/role access controls, session checks, audit logs and rate limits protect the service. Screenshot redactions are flattened into the uploaded copy; check sensitive information before uploading. Push notifications carry generic text and a record identifier; details are fetched in the app after permission checks. Disable notification permissions in device settings. No system guarantees absolute security; breaches are notified as required by applicable law.
9. Reklam, izleme ve çocuklar / Advertising, tracking and children
Only Project'te reklam, izleme SDK'sı veya analitik SDK'sı yoktur; kişisel veriler satılmaz veya reklam amacıyla kullanılmaz. FCM yalnız bildirim iletimi için kullanılır. İşyeri uygulaması 16 yaşından küçüklere yönelik değildir ve bu yaş grubunun kullanımına izin verilmez. Çocuk verisinin yanlışlıkla işlendiğini düşünüyorsanız bize yazın.
Only Project has no advertising, tracking SDKs or analytics SDKs. Personal data is not sold or used for advertising. FCM is used only for push delivery. This workplace app is not intended for, and must not be used by, anyone under 16. Contact us if you believe a child's data was processed inadvertently.
10. Güncellemeler ve mevzuat / Changes and legislation
Önemli değişiklikler yürürlüğe girmeden önce bu sayfada ve gerektiğinde uygulamada duyurulur; tarih güncellenir. Yeni bir işlem için açık rıza gerekiyorsa ayrıca alınır. İlgili mevzuat: 6698 sayılı KVKK ve GDPR.
Material changes are announced on this page and, where appropriate, in the app before taking effect; the date is updated. Any required consent for new processing is requested separately. Relevant legislation: the linked KVKK and GDPR texts.